IKEv2 SA ishlayapti, lekin bola SA yo'q: almashinuvni o'qing

IKE tunnel ishlayapti, bola SA yo'q deydi va ikkala bayonot bir vaqtda to'g'ri bo'lishi mumkin. O'rnatilgan boshqaruv aloqasi ma'lumot assotsiatsiyasi emas, va ikki obyektning umri, muzokaralari va nosozlik usullari alohida. Birinchisini ulanish deb hisobot qilish — chipta oxir-oqibat tunnel ishlayapti, ammo hech narsa ishlamayapti deb da'vo qiladigan yo'l. Ulanishning umumiy yorlig'i o'rniga assotsiatsiyalar ro'yxatini o'qing, chunki yo'q obyekt faqat shu ro'yxatda ko'rinadi. Quyida ro'yxat mantiqiy bo'ladigan tartib keltirilgan.

Ikki assotsiatsiya, ikki ish

IKE SA boshqaruv kanalini olib yuradi: identifikatorlar, kalitlar va boshqaruv almashinuvining o'zi uchun takliflar. Bola SA ESP himoyasini olib yuradi, o'z algoritmlari va o'z trafik tanlagichlari bilan. Autentifikatsiya va bola SA yaratish odatda birga boradi, chunki birinchi bola SA IKE_AUTH ichida kelishiladi, va aynan shu birlashma odamlarni bu ajralish bilan hayratda qoldiradi.

Bu siz uchratadigan ikki nosozlik shaklini ham tushuntiradi. Boshlang'ich almashinuv paytida rad etilgan bola SA odatda IKE SA ni ham birga tushiradi, shuning uchun o'rnatilgan boshqaruv kanalini umuman ko'rmaysiz. Yolg'iz turgan IKE SA ko'pincha birinchi bola SA muvaffaqiyatli bo'lganini va keyingi bola SA yaratish urinishi muvaffaqiyatsiz bo'lganini bildiradi, masalan kalitlarni yangilash paytida. Vaqt belgilari bu holatlarni har qanday konfiguratsiya ko'rigidan tezroq ajratadi.

Qaysi qatlam rad etdi

Bola SA rad etilganda, bildirishnoma qatlamni nomlaydi. Taklifning rad etilishi tomonlar algoritmlar bo'yicha kelisha olmaganini bildiradi, ko'pincha biri boshqa mukammal oldinga sirlilik guruhini yoki ikkinchisi qabul qilmaydigan shifrni talab qilgani uchun. Tanlagichning rad etilishi trafik to'plami to'g'ridan-to'g'ri rad etilganini bildiradi, va bu qamrov dalili, kriptografik emas.

Ba'zan bola SA ning yo'qligi dizaynning o'zi. Bolasiz IKE SA — ma'lumot assotsiatsiyasi talab bo'yicha yaratilishi kerak bo'lgan joyda qo'llaniladigan aniqlangan kengaytma, shuning uchun yo'qligi to'g'ri, va mos trafik kelganda bola SA paydo bo'ladi. strongSwan ning IKEv2 haqidagi eslatmalari talab uslubini ham, birinchi holatni hal qiladigan taklif sozlamalarini ham qamrab oladi.

Nosozlikni tashxislashdan oldin talab bo'yicha yoki tuzoq konfiguratsiyasi borligini tekshiring. Agar bola SA lar dangasalik bilan yaratilsa, tinch holatda bola SA yo'qligi kutilgan holat, va haqiqiy sinov trafik bittasini ko'taradimi yoki yo'qmi. Bu sinov dangasa dizaynni jim nosozlikdan ham ajratadi, chunki muvaffaqiyatsiz yaratish trigger ni faqat tinch emas, javobsiz qoldiradi.

Keyin ma'lumot yo'lini so'rang

Bola SA mavjud bo'lganda, keyingi savolga hisoblagichlar javob beradi. ip -s xfrm state har assotsiatsiya uchun paket va bayt sonini bildiradi, va trafik yaratayotganingizda hech narsa olib yurmaydigan bola SA moslashtirish yoki marshrutlashga ishora qiladi yo'q assotsiatsiyaga emas. swanctl --list-sas bola SA tanlagichlarini o'sha hisoblagichlar yonida chop etadi, va paket qabul qilingan to'plam ichida ekanini aynan shu tasdiqlaydi.

Hisobotda muvaffaqiyatli autentifikatsiyani va muvaffaqiyatsiz bola SA almashinuvini alohida saqlang. Autentifikatsiya muvaffaqiyatsiz bo'ldi degan hisobot keyingi muhandisni sertifikat omboriga yuboradi, va aniq jumla ancha qisqa: IKE SA ko'tarildi, va bu oqim uchun bola SA hech qachon qabul qilinmadi.

Ikki uchni bog'lang

O'zingiz boshqaradigan server uchun bir soat farq bilan ikki qayta ulanish urinishini solishtirish o'rniga o'sha almashinuvning mijoz va shlyuz jurnallarini oling. Bildirishnomalar ikki tomonda ham mos kelishi kerak, va mos kelmagan joyda siz noto'g'ri sozlangan tomonni topdingiz.

Bola SA muzokarasini tuzating, keyin mo'ljallangan tanlagich ichidagi trafik bilan qayta sinab ko'ring. Bu yo'q obyekt endi mavjudligini isbotlaydigan yagona sinov, chunki tinch holatda yangilangan assotsiatsiyalar ro'yxati tuzatishdan oldin va keyin bir xil ko'rinishi mumkin.